ABE-FL：基于高安全性椭圆曲线CP-ABE的高效安全联邦学习

《Journal of Information Security and Applications》：ABE-FL: Efficient and secure federated learning based on CP-ABE with high-security elliptic curves

　　

摘要

现有的安全联邦学习（FL）方案存在三大主要局限：（1）初始全局模型在分发过程中未受保护；（2）多方计算带来高昂的通信开销；（3）使用同态加密（HE）进行参数保护导致计算效率低下。为应对这些挑战，我们提出了ABE-FL，一种将密文策略属性基加密（CP-ABE）与高安全椭圆曲线（基于1024位基域上的512位素阶子群构建，安全性达到112位水平）相结合的联邦学习新框架。ABE-FL使用CP-ABE加密保护初始模型和盲化因子在分发过程中的安全。它通过使参数服务器集中分发分裂因子和盲化因子来降低通信成本，并通过集成定制化密钥分发方案和基于CP-ABE设计的一种轻量级同态加密方法来提高聚合效率。在明确定义的威胁模型下，安全分析表明ABE-FL能针对诚实但好奇的参数服务器保持本地和聚合模型参数的机密性，且这一保证在面对服务器与至多t?1个授权客户端组成的联盟时依然紧密成立，同时持有无效属性的实体既无法恢复初始模型，也无法注入被接受聚合的更新。我们还界定了这些保证的范围：ABE-FL是一种机密性与访问控制机制，其本身不提供对抗授权客户端提交的投毒或拜占庭更新的能力。在MNIST、CIFAR-10和莎士比亚数据集上的实验表明，与基于Paillier密码体制的方案相比，ABE-FL在加密、解密和聚合性能方面实现了显著提升，同时保持了可比较安全水平下的强隐私保证。

引言

数据孤岛和隐私问题的出现限制了传统人工智能技术的发展，大数据处理方法面临瓶颈；然而，各机构、企业和组织拥有的海量数据具有巨大的潜在应用价值。在满足数据隐私、安全和监管要求的前提下，利用多方异构数据进一步学习和推动人工智能的发展与落地已成为亟待解决的问题。保护隐私并确保数据安全的联邦学习技术应运而生。联邦学习[1]的核心思想是允许用户在本地设备上训练模型，并将训练好的梯度上传至参数服务器进行加权聚合，从而获得泛化能力强的全局模型。与传统的分布式机器学习方法相比，联邦学习使多方模型联合训练成为可能而数据无需离开本地，既确保了数据安全和隐私，又实现了分布式训练，是破解人工智能发展困境的一种可行方案。然而，现有的水平联邦学习方案普遍存在三个问题：

1. 模型分发不安全：当前初始模型的分发主要采用两种方式，一种是明文传输，容易导致模型隐私泄露；另一种是密文传输。虽然密文传输可以保证模型隐私，但基于传统公钥密码学（如TLS/SSL）的加密方式效率低下（需要为每个参与者加密一次模型）。

2. 多方计算通信成本高：安全联邦学习通常基于多方计算来保护本地模型更新参数，多方计算要求每个参与者在每轮中将数据发送给其他各方以保护本地模型更新参数，使每个参与者承担高昂的通信成本。频繁地向其他参与者发送数据或接收数据会消耗大量通信和计算资源，导致用户体验不佳，降低参与模型训练的积极性。

3. 参数聚合计算慢：安全联邦学习也通常使用同态加密来保护本地模型更新参数和聚合参数（在参数聚合过程中）的机密性，从而保护训练方的个人隐私信息。现有的同态加密算法（包括Paillier）加密解密速度慢、同态操作冗长，难以训练参数更多的大型模型。

ABE-FL具有更低的计算和通信资源开销，适用于移动互联中的平板电脑和智能手机、车联网中的车载计算机、机器物联中的无人机以及工业物联网中的嵌入式设备等能力有限的边缘智能设备。模型训练过程中计算和通信需求的显著降低将大幅提升资源受限设备的电池续航时间，并提高用户参与训练的积极性。

为解决上述问题，我们将具有"一次加密、多用户共享"优势、易于表达以及细粒度访问控制的CP-ABE引入联邦学习，并提出一种基于CP-ABE的联邦学习模型和方案。我们参考了Waters[2]第3节中描述的CP-ABE协议。同态加密可以使用公钥密码学和对称密码学来实现。前者计算开销大，后者则存在密钥分发的难题。我们的方法采用对称密码学来实现同态加密，避免了复杂耗时的指数运算。虽然借助属性管理当局（AA）可以使用传统公钥密码算法分发对称密钥，但计算负担会随着训练过程中参与者数量的增加而线性增长，给AA带来显著且耗时的负担。相比之下，我们的模型利用属性基加密（ABE）分发同态加密密钥，无需AA介入，每个参与者只需进行一次ABE加密。以下解释如何使用CP-ABE解决上述三个问题。

关于模型分发不安全的问题。首先使用对称加密算法（如AES）加密模型参数，然后使用CP-ABE模型参数加密密钥。在使用CP-ABE加密模型参数加密密钥时，所制定的访问策略必须确保只有参与者能够解密，同时尽可能减少属性的使用以降低用户终端的开销。当然，为支持CP-ABE，服务提供商（如Apple）必须事先为每个注册用户分配属性及对应的用户私钥。由于模型参数已加密，不符合访问策略的非参与者无法获取初始模型参数。这主要通过HomKeyAgee函数实现，该函数是我们开发的同态密钥分发算法。该算法实现了基于CP-ABE的对称同态加密密钥的安全高效分发。通过此设计，参与者不再需要多次交换密钥，从而实现了高效安全的协作。

关于多方计算通信成本高的问题。为确保本地模型更新参数不泄露给其他参与者，通常使用多方计算方法，每个参与者需要将盲化因子和相关分裂数据发送给所有其他参与者，导致通信成本高昂。为解决此问题，在模型初始化阶段，服务提供商帮助每个参与者计算盲化因子和相关分裂数据。发送给每个参与者的数据进行整合，使用对称加密算法和CP-ABE加密后，通过参数服务器转发给每个参与者。在整个过程中，参与者无需向任何其他参与者发送数据。这主要通过Init函数实现。在联邦学习（FL）训练的初始化阶段，我们利用CP-ABE中的四个基本算法保护初始模型。通过集成CP-ABE与(t, n)门限方案，我们设计了一种盲化因子分发机制，显著降低了FL训练期间的通信开销。

关于参数聚合计算慢的问题。为防止参数服务器获取本地模型参数，通常使用标准同态加密算法（如Paillier）对本地模型参数进行加密，但这种方式耗时。为此，我们基于CP-ABE设计了一种轻量级同态加密（仅需一次域乘运算）。该同态加密算法设计的难点在于同态密钥的分发。考虑到相同访问策略下的不同CP-ABE密文可以融合为一个具有相同访问策略的密文，各参与者在相同访问策略（与模型分发策略相同）下生成的密文被发送至参数服务器，参数服务器在融合后将融合结果广播给每个参与者。每个参与者解密获得相同明文，并基于该明文计算同态加密密钥。这主要通过LocalModelTrain和FedAvg函数实现。我们开发了一种基于CP-ABE的同态加密算法，并将其应用于联邦学习的模型聚合阶段。参数聚合过程仅需要加密乘法操作，从而避免了解密带来的开销，显著提升了联邦学习的效率。

本文的主要贡献包括：

1. 设计了一种基于CP-ABE的轻量级同态加密算法。该算法的核心是同态加密密钥的协商与分发。所有参与者首先使用CP-ABE在相同访问策略下计算密文，参数服务器通过累积相乘各参与者对应密文项完成密文融合，并将结果广播给所有参与者。每个参与者解密获得相同明文，并基于该明文获得同态加密密钥。

2. 构建了基于CP-ABE的联邦学习模型ABE-FL。在该模型中，模型分发阶段使用对称加密和CP-ABE加密保护初始模型参数；服务提供商生成盲化因子和相关数据并使用CP-ABE加密后由参数服务器转发给参与者，以降低用户通信成本；同时使用设计的同态加密算法显著降低参数聚合阶段的计算成本。

3. 设计了基于ABE-FL的联邦学习方案（或算法）。性能分析表明，与使用Paillier同态加密算法构建的联邦学习方案相比，所提出的方案在加密、解密和同态加密方面具有显著的计算优势，同时降低了通信成本，且该优势是在使用提供与Paillier基线可比较安全水平的密码参数的情况下获得的。在明确定义的威胁模型下的安全分析表明，ABE-FL能针对诚实但好奇的参数服务器保持本地模型参数和聚合参数的机密性，且该保证在面临服务器与至多t?1个授权客户端组成的联盟时依然紧密成立，持有无效属性集的实体既无法解密密梯度也无法注入通过每轮验证的更新。对抗授权客户端投毒或拜占庭行为的鲁棒性不在本方案范围内，详见第4.3节讨论。

现有的CP-ABE方案（包括Brent Waters[2]开发的方案）专注于设计Setup、KeyGen、Encrypt和Decrypt四个核心算法。这些算法的主要目标是实现细粒度访问控制。然而，我们的研究与CP-ABE的传统应用场景有所不同，聚焦于联邦学习（FL）中的实际挑战，如初始模型未受保护、通信成本高和参数聚合效率低等问题。与传统的FL架构不同，我们的方案是FL框架与CP-ABE深度集成的首例：

- 首次解决了FL中的初始模型保护问题，同时有效降低了通信成本。
- 提出了一种基于CP-ABE的同态加密算法以促进快速的模型聚合。
- 通过设计ABE-FL模型，我们提供了一种增强FL安全性和效率的创新方案。

2017年，McMahan B和Moore E[1]等人提出了联邦学习的概念和FedAvg算法。该算法后来被Google和Apple（从iOS 13开始）用于通过差分隐私技术保护隐私的同时训练Siri。由于FedAvg在非独立同分布（Non-IID）数据集上表现不佳，研究者提出了多种解决方案。2018年，Tian Li等人[3]展示了FedAvg在非IID数据集上的次优表现，并引入了FedProx算法作为改进。该算法通过向本地模型的目标函数添加正则化项，增强了全局模型在非IID数据集上的收敛稳定性，并通过数学证明支持了这一增强以应对统计和系统异构性带来的挑战。

FedAvg的性能受到异构数据中客户端漂移的限制，由此催生了SCAFFOLD[4]算法。

通过使用控制变量和聚合更新，SCAFFOLD克服了客户端漂移问题，在保持对数据异质性和客户端采样稳健性的同时实现了更快的收敛。2022年，Fed-Dyn [5] 算法被提出。它通过动态更新正则化器来减少通信所需的传输参数数量，从而降低了通信成本。与非IID数据集上狄利克雷系数为3的情况相比，该算法在Dirichlet系数为3的非IID数据集上相比之前提出的方法表现出更高的准确率。同年，MOON [6] 算法也被引入，该算法专为提高图像分类任务的准确率而设计，相比现有方法准确率提高了至少2个百分点。2022年，Li Z 和 Shao J [7] 提出利用GAN来学习本地数据集分布，从而减轻非IID对学习过程的影响。

早期的方法并未解决通信过程中梯度窃取的风险。2017年，Blanchard P 等人 [8] 提出了一种涉及传输良性更新和恶意更新的方法，实施拜占庭攻击以破坏模型的可用性。同年，L.T. Phong 等人 [9] 提出了一种安全联邦学习算法，在模型上传阶段使用Paillier [10] 算法来保护客户端上传的梯度。该方法效率较高，并保持加同态特性，不会向诚实但好奇的云服务器泄露数据集信息。2019年，Ligeng Zhu 等人 [11] 证明了可以从梯度信息中重构训练数据。

2019年，Xu Guowen 等人 [12] 引入了VerifyNet，一个可验证的梯度聚合框架。它采用双重掩码协议确保用户梯度的安全性，并支持对梯度聚合正确性进行验证。2022年，Guangxia Xu 等人 [13] 提出了一种高效的基于区块链的属性同态加密隐私保护方案。该方案将基于属性的加密和同态加密集成到区块链技术中，确保数据传输的安全性。2021年，ZuoBin Xiong 等人 [14] 引入了一种针对非IID数据的新算法2DP-FL，通过在本地模型中添加噪声来实现差分隐私。

次年，Dario Pasquini 等人 [15] 探索了联邦学习中安全聚合机制内存在的潜在漏洞，并提出了一种新的攻击模型，可以在不被检测到的情况下操纵聚合过程。2023年，Mark Vero 等人 [16] 引入了首个针对表格数据的全面攻击——TabLeak，通过实验证明了在联邦学习环境中高风险表格数据泄露的容易程度。同年，Marco Arazzi 等人 [17] 分析了攻击者如何利用隐私保护策略，特别是差分隐私，来设计针对联邦学习系统的攻击，以提取敏感信息同时保护隐私。Chulin Xie 等人 [18] 研究了隐私增强措施与经过认证的鲁棒性之间的相互作用，以抵御联邦学习中的数据投毒攻击，并提出了一种有效平衡这些方面的框架。

此外，联邦学习可以通过利用移动边缘设备进行协作机器学习模型训练，在边缘网络环境中高效运行。这种方法不需要将大量本地数据传输到云端进行处理，从而确保数据隐私并满足低延迟要求。已经引入了几种专为边缘计算场景设计的联邦学习方案。

2018年，Nishio 等人 [19] 提出了FedCS客户端选择协议，该协议设定了客户端下载、更新和上传机器学习模型的期限。这确保了中央参数服务器能在期限内聚合尽可能多的客户端更新，从而增强整体训练效率。2020年，Yunlong Lu 等人 [20] 提出了一种结合区块链和隐私保护联邦学习的安全数据共享架构，将数据共享问题转化为机器学习问题。

2022年，Zhongyu Wang 等人 [21] 提出了一种适应无线网络异质性的异步联邦学习框架。通过考虑训练和上传延迟以及模型陈旧性，他们设计了一种集中式融合算法，实现了快速稳定的收敛，显著提升了训练效率。同年，Tian Liu 等人 [22] 引入了一种基于知识蒸馏的新型联邦学习方法（DFL），为AIoT应用提供了高效准确的联邦学习。

2023年，Jianyi Zhang 等人 [23] 为通信带宽有限的边缘设备设计了一种有效的异质性感知客户端采样机制（Fed-CBS）。该机制显著减少了从故意选择的客户端收集的数据集中的类别不平衡问题。

2005年，Sahai 和 Waters 等人 [24] 引入了基于属性的加密（ABE），该方案建立在基于身份的加密（IBE）方案的基础之上。该方案保留了IBE固有的优势，如简洁性和直接应用，同时具有"一对多"加密特性，极大地扩展了其实际应用范围。与传统的加密方法相比，基于属性的加密方案提供了更精确和更细粒度的访问控制。该方案能够实现基于用户属性而非仅基于身份来执行访问控制的加密，使其非常适合需要详细访问规范的场景。

该领域的后续发展促成了研究人员进一步的改进，他们区分了密钥策略基于属性的加密（KP-ABE）和密文策略基于属性的加密（CP-ABE）。Goyal 等人 [25] 于2006年引入的KP-ABE将访问策略嵌入用户的私钥中，允许针对任何访问树进行加密，这在策略预先定义并严格管理的静态加密场景中特别有用。2007年，Bethencourt 等人 [26] 提出了CP-ABE，该方案将访问策略直接嵌入密文中。这种方法更符合私有数据保护需求，因为加密者可以直接根据受访问策略管理的一组用户属性来定义谁可以解密。

2011年，Waters通过引入使这些系统既具有表达能力又具有效率的技术改进了CP-ABE方案，解决了早期ABE系统在实际部署中面临的挑战。这些改进包括将策略的访问结构转化为线性秘密共享方案，简化了加密过程并减少了实现系统的计算负担 [2]。此外，Green、Hohenberger和Waters提出了将ABE密文解密外包的方法，在不损害私钥安全性的情况下显著减少了计算能力有限设备的解密工作负担 [27]。

2017年，Shashank Agrawal和Melissa Chase [28] 引入了快速属性消息加密（FAME），显著减少了加密和解密时间——这对云计算和其他高要求环境中的实时数据访问来说是一项关键进步。与此同时，Miguel Ambrona 等人 [29] 在"泛群模型"中提出了一种新颖的属性加密方案，具有精细化的自动化证明和创新的ABE构造。该模型增强了方法学效率并拓宽了ABE的实际应用。在此基础上，Antonio de la Piedra 等人 [30] 引入了ACABELLA框架，利用线性代数革新了基于配对的ABE方案的安全证明的生成和验证。ACABELLA提供了一款健壮且易用的工具，确保ABE的安全性，促进了ABE在各类密码学应用中的更广泛应用和增强功能。

继续推进加密技术的发展，Gentry、Sahai和Waters于2013年提出了一种基于学习带误差问题的全同态加密方案，该方案支持对密文进行无限次运算，并为在不可信环境中安全处理数据开辟了新的可能性 [31]。这项开创性的工作为后续研究在联邦学习框架和其他分布式计算架构中进行更复杂、更安全的数据交互模型奠定了基础。

**小节片段：双线性映射**

设G0和GT为主阶为p的循环群，其中G0的生成元表示为g0。如果双线性映射e: G0 × G0 → GT满足以下特征，则定义其为双线性映射：

- **双线性**：对于所有a ∈ G0、b ∈ G1以及x, y ∈ Zp，e(ax, by) = e(a, b)xy 始终成立。
- **非退化性**：非退化性断言存在a ∈ G0和b ∈ G1使得e(a, b) ≠ 1。
- **可计算性**：可计算性确保存在一个高效算法来计算e(a, b)。

**ABE-FL方案构建**

ABE-FL包含四个算法：Init（初始化）、HomKeyAgree（同态密钥协商）、LocalModelTrain（本地模型训练）和FedAvg（联邦平均）。

**正式威胁模型与假设**

在分析具体攻击向量之前，我们正式定义威胁模型，包括系统实体的信任边界、对手的能力以及底层密码学假设。

**1. 系统实体的信任假设**

ABE-FL系统包含三种类型的实体，每种实体的信任级别不同：

- **属性权威（AA）/服务提供商**：完全信任。AA负责系统初始化、属性分发以及生成CP-ABE私钥。

**与最先进方法的理论比较**

为了全面评估所提出的ABE-FL框架的优势，我们将其与当前在安全联邦学习中采用的几种最先进的加密技术进行比较：传统的Paillier密码系统以及两种代表性的基于格的全同态加密（FHE）方案——BFV（用于精确整数运算）[32] 和CKKS（用于近似实数运算）[33]。全面的理论比较总结见表1。

- **BFV-FL**：该

**关于实际部署挑战的讨论**

尽管所提出的ABE-FL框架相比传统方法在计算效率和通信减少方面表现出显著优势，但将其从理论模型转化为大规模实际部署仍存在某些实际挑战。我们公开讨论这些局限性，并概述潜在的缓解策略如下。

- **属性权威（AA）操作的潜在瓶颈**：

在当前ABE-FL架构中，AA充当一个集中式的、完全的

**结论**

本文提出了一种ABE-FL联邦学习方案，旨在解决当前联邦学习中面临的挑战，如初始模型的不安全分发、多方计算的高通信成本以及同态加密计算的缓慢问题。利用CP-ABE的"一次加密、多用户共享"特性，该方案高效且安全地分发了初始模型参数和盲化因子。所提出的基于同态加密算法的

**CRediT作者贡献声明**

Shixun Li：写作——审阅与编辑，写作——初稿，软件，形式分析。Maoli Tang：可视化，调查。Shuainan Liu：写作——审阅与编辑。Hongjie Zhang：项目管理。Rong Wang：项目管理，资金获取。Chaosheng Feng：监督，资源，项目管理，方法论，资金获取。

**利益冲突声明**

作者声明没有已知的竞争经济利益或个人关系可能影响本文所报告的工作。

Shixun Li | Maoli Tang | Shuainan Liu | Hongjie Zhang | Rong Wang | Chaosheng Feng